Apache Airflow heeft een mogelijkheid tot DAG Author Code Execution in airflow-scheduler

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie kan leiden tot volledige controle over de Airflow scheduler, waardoor een aanvaller toegang kan krijgen tot gevoelige data, configuratiebestanden en zelfs andere systemen waar Airflow mee integreert. De aanvaller kan bijvoorbeeld data manipuleren, taken wijzigen of nieuwe taken creëren om verdere schade aan te richten. Dit is vergelijkbaar met scenario's waarbij een aanvaller controle krijgt over een centrale coördinator in een complexe workflow, waardoor de gehele operatie kan worden verstoord of misbruikt. De kwetsbaarheid is bijzonder zorgwekkend omdat het niet vereist dat de aanvaller root-rechten heeft, alleen authenticatie als een DAG-auteur.

Organizations heavily reliant on Apache Airflow for data orchestration and ETL processes are at significant risk. Specifically, teams with less stringent access controls for DAG authors, or those using Airflow in environments with sensitive data, are particularly vulnerable. Shared hosting environments where multiple users can create and deploy DAGs also increase the risk surface.

• python: Monitor Airflow logs for unusual process executions or errors related to DAG parsing.

import logging
logging.basicConfig(filename='airflow.log', level=logging.ERROR)
# Monitor for suspicious code execution attempts

• python: Check for modified DAG files with suspicious doc_md parameters.

# Example: Check for unusual characters in doc_md
with open('my_dag.py', 'r') as f:
    content = f.read()
    if 'doc_md=' in content:
        print('Potential vulnerability: doc_md parameter found')

• generic web: Examine Airflow web server access logs for requests containing unusual or encoded characters in the doc_md parameter. Look for patterns indicative of code injection attempts.

1. 2024-07-17Disclosure

   disclosure

1. Gereserveerd2024-07-01
2. Gepubliceerd2024-07-17
3. Gewijzigd2026-02-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden van Apache Airflow naar versie 2.9.3 of hoger, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van DAG-auteurs om te voorkomen dat ze de docmd parameter kunnen manipuleren. Implementeer strikte inputvalidatie op de docmd parameter om onverwachte data te voorkomen. Monitor de Airflow scheduler logs op verdachte activiteiten, zoals ongebruikelijke code-uitvoering. Er zijn geen specifieke WAF-regels of Sigma/YARA patronen bekend voor deze specifieke kwetsbaarheid, maar algemene regels voor het detecteren van code-injectie kunnen nuttig zijn.